O WordPress 7.0.2 foi publicado como atualização de segurança emergencial para duas falhas: uma SQL injection facilitada e uma confusão de batch routes na REST API combinada com SQL injection, capaz de levar a execução remota de código. Pela severidade, o WordPress.org habilitou atualizações automáticas forçadas para instalações afetadas compatíveis.
O que aconteceu
A CVE-2026-60137 representa um problema de SQL injection facilitada. A CVE-2026-63030 envolve confusão no processamento de rotas em lote da REST API e SQL injection, com cadeia que pode chegar a RCE. SQL injection ocorre quando dados controlados pelo atacante alteram a estrutura da consulta ao banco; conforme o contexto, isso permite ler, modificar ou apagar informações. Uma cadeia até RCE permite ainda executar código no servidor com a identidade do processo PHP.
O risco não se limita ao painel administrativo. A REST API é exposta por padrão e integra plugins, editor e aplicações externas. Não desabilite a API às cegas: isso pode quebrar recursos e não substitui o patch. Atualizar o Core é a resposta correta.
Quais versões são afetadas e corrigidas
| Linha | Exposição informada | Versão com backport |
|---|---|---|
| WordPress 7.0 | afetado pelas duas falhas antes de 7.0.2 | 7.0.2 |
| WordPress 6.9 | afetado pelas duas falhas | 6.9.5 |
| WordPress 6.8 | afetado apenas pela CVE-2026-60137 | 6.8.6 |
| Anteriores a 6.8 | não afetados por estas duas CVEs segundo o release | migre por estarem antigos e poderem ter outras falhas |
O mínimo corrigido não deve virar meta permanente. Em agosto de 2026, o WordPress 7.0 recebeu novas versões de segurança e o 7.1 tornou-se a linha atual. Se a compatibilidade permitir, use o release estável mais recente; se permanecer em 6.8/6.9, aplique ao menos todos os backports disponíveis.
Nível de risco
Crítico. O próprio projeto descreveu uma falha crítica e outra alta e ativou forced auto-updates. A combinação de entrada remota, banco de dados e possível RCE pode resultar em usuário administrador clandestino, injeção de JavaScript, redirecionamentos, roubo de dados, envio de spam, alteração de pagamentos ou shell persistente.
Como verificar se o site está vulnerável
No diretório do WordPress, use WP-CLI com o usuário correto da conta:
wp core version
wp core check-update
wp core verify-checksums
wp plugin list --status=active --update=available
wp theme list --status=active --update=availableNo painel, consulte Ferramentas > Saúde do site > Informações e Painel > Atualizações. O WP Toolkit também mostra a versão por instalação. Avalie assim:
- 7.0 ou 7.0.1: vulnerável às duas CVEs;
- 6.9.4 ou anterior na linha 6.9: vulnerável;
- 6.8.5 ou anterior na linha 6.8: vulnerável à CVE-2026-60137;
- versão corrigida, mas checksums divergentes: investigue arquivos alterados;
- versão antiga “não afetada” por estas CVEs: não significa segura contra outras falhas.
Não instale scanner ou plugin desconhecido para “testar”. Procure indicadores: administradores novos, arquivos PHP recentes em uploads, tarefas cron inesperadas, mudanças em wp-config.php, opções siteurl/home, plugins desconhecidos e requisições REST anormais nos logs.
Como atualizar com segurança
- faça backup independente de arquivos e banco e confirme que é restaurável;
- registre a versão e extensões PHP;
- atualize o Core pelo painel, WP-CLI ou WP Toolkit;
- atualize plugins e temas de fontes legítimas;
- limpe cache da aplicação, servidor e CDN;
- teste login, editor, formulários, loja, cron e integrações;
- revise usuários, checksums e logs mesmo depois do patch.
wp core update
wp core update-db
wp core verify-checksumsMedidas adotadas pela WebinHost
Na hospedagem WebinHost, CloudLinux/CageFS limita contas, e o Imunify360 dos planos elegíveis monitora e bloqueia comportamentos maliciosos na camada web. A plataforma mantém a infraestrutura e ferramentas como WP Toolkit; a atualização do WordPress Core, plugins, temas e código pertence ao responsável pelo site, exceto quando houver serviço específico. Alertas críticos recebem comunicação e triagem prioritárias.
Nos serviços em que o gerenciamento da camada de servidor faz parte do contrato, o fluxo da WebinHost inclui acompanhamento dos canais de segurança dos fornecedores, inventário do componente, avaliação de exposição, aplicação controlada da correção disponível e validação posterior. Quando o kernel e a distribuição são compatíveis, o KernelCare reduz a janela de exposição ao aplicar live patches sem aguardar uma reinicialização; quando a correção exige um novo kernel ou o fornecedor não oferece live patch, a equipe planeja a atualização e o reboot conforme o risco e a janela operacional.
O Imunify360 complementa essa resposta com firewall de aplicação, detecção de malware, defesa proativa e inteligência de reputação nos planos elegíveis. Essas camadas ajudam a bloquear ou detectar tentativas, mas não substituem a correção do pacote vulnerável. CloudLinux e CageFS também aumentam o isolamento entre contas, sem transformar uma versão desatualizada em versão segura.
Tutoriais, downloads e serviços relacionados
Use estes materiais para continuar a verificação com segurança:
Referências oficiais
- WordPress.org — release de segurança 7.0.2 e backports
- CVE.org — CVE-2026-60137
- CVE.org — CVE-2026-63030
- WordPress.org — documentação de atualização
Nota técnica: distribuições Linux e painéis frequentemente aplicam backports. O número exibido por um pacote pode ser diferente da versão upstream e ainda conter a correção. Compare sempre o pacote com o advisory da distribuição ou do painel. Não execute prova de conceito em produção; os comandos deste boletim são de inventário e verificação.
Assistente IA WGS